CVE-2019-10095

Command injection w Apache Zeppelin — wstrzyknięcie poleceń bash

CVSS 9.8v3.1pub. 2021-09-02upd. 2024-11-21

Podatność typu bash command injection w Apache Zeppelin umożliwia atakującemu wstrzyknięcie dowolnych poleceń systemowych poprzez ustawienia interpretera Spark. Ze względu na brak wymagań dotyczących uwierzytelnienia i zdalny wektor ataku, podatność jest oceniana jako krytyczna (CVSS 9.8).

▸ Pokaż oryginał (EN)

bash command injection vulnerability in Apache Zeppelin allows an attacker to inject system commands into Spark interpreter settings. This issue affects Apache Zeppelin Apache Zeppelin version 0.9.0 and prior versions.

🤖 Analiza AI

Jak działa

Atakujący może wstrzyknąć złośliwe polecenia systemowe do pól konfiguracyjnych interpretera Spark w Apache Zeppelin. Aplikacja nieprawidłowo waliduje lub sanityzuje dane wejściowe przed przekazaniem ich do powłoki bash (CWE-77 — Improper Neutralization of Special Elements used in a Command). W efekcie dostarczone przez atakującego dane są interpretowane i wykonywane bezpośrednio przez system operacyjny na serwerze hostującym Apache Zeppelin.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem operacyjnym serwera, w tym możliwość odczytu i modyfikacji danych, eskalacji uprawnień, instalowania złośliwego oprogramowania lub przejęcia całego środowiska analitycznego.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację Apache Zeppelin do wersji nowszej niż 0.9.0 oraz ograniczenie dostępu do interfejsu konfiguracyjnego interpreterów wyłącznie do zaufanych użytkowników.